http://mikrotik.moscow Новое в теме DST-NAT и правила брандмауэра форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Sun, 16 Aug 2026 21:25:36 -0400 DST-NAT и правила брандмауэра RouterOS в форуме RouterOS.
Верно. Безопасность чего? Вот в чем вопрос.
07.01.2014 21:57:00, efaden.]]> http://mikrotik.moscow/forum/forum57/60185-dst_nat-i-pravila-brandmauera/message229136 http://mikrotik.moscow/forum/forum57/60185-dst_nat-i-pravila-brandmauera/message229136 Tue, 07 Jan 2014 21:57:00 -0500 RouterOS DST-NAT и правила брандмауэра RouterOS в форуме RouterOS.
В общем, чтобы заблокировать этот трафик только для входящих, я добавил правило в файрволл для цепочки forward и указал In.Interface ether1-gateway, верно? Тогда пользователи не смогут выходить через этот конкретный порт, но входящий трафик, приходящий на ether1-gateway, будет правильно перенаправляться. Кстати, моя конфигурация файрволла выглядит нормально с точки зрения безопасности?
07.01.2014 17:09:00, Windmage.]]> http://mikrotik.moscow/forum/forum57/60185-dst_nat-i-pravila-brandmauera/message229135 http://mikrotik.moscow/forum/forum57/60185-dst_nat-i-pravila-brandmauera/message229135 Tue, 07 Jan 2014 17:09:00 -0500 RouterOS DST-NAT и правила брандмауэра RouterOS в форуме RouterOS.
Это ожидаемое поведение. Вам нужна правило брандмауэра, разрешающее трафик DST-NAT. Вы правы, что DST-NAT идёт перед Forward, но это означает, что если вы перенаправляете порт 99 на порт 21, правила Forward будут видеть dst-порт как 21, а не 99. Но вам всё равно нужно разрешить пакет в цепочке Forward. Вы всегда можете добавить конкретное правило Forward для этого порта… например, только когда dst-адрес – перенаправление порта.
07.01.2014 16:53:00, efaden.]]> http://mikrotik.moscow/forum/forum57/60185-dst_nat-i-pravila-brandmauera/message229134 http://mikrotik.moscow/forum/forum57/60185-dst_nat-i-pravila-brandmauera/message229134 Tue, 07 Jan 2014 16:53:00 -0500 RouterOS DST-NAT и правила брандмауэра RouterOS в форуме RouterOS.
Привет! RB750G - RouterOS 6.7. Проблема с переадресацией портов. Переадресация работает только тогда, когда я также добавляю правило брандмауэра для цепочки FORWARD для конкретного порта. Например, если я перенаправляю порт 3389 на NAT, то должен добавить правило accept forward для порта 3389 в брандмауэре. Как я читал, dst-nat должен обрабатываться до фильтрации брандмауэра, и он не должен на него влиять. Но в моем случае это не так. Мне нужно иметь правила forward в брандмауэре, потому что я хочу разрешать только определенные протоколы для клиентов. Что посоветуете? Вот конфигурация: x.x.x.x - публичный IP-адрес.

NAT:

0   ;;; default configuration
   chain=srcnat action=masquerade to-addresses=0.0.0.0 out-interface=ether1-gateway

1   ;;; Server
   chain=dstnat action=dst-nat to-addresses=192.168.234.254 to-ports=3389 protocol
   dst-address=x.x.x.x in-interface=ether1-gateway dst-port=3389

2   chain=dstnat action=dst-nat to-addresses=192.168.234.254 to-ports=1723 protocol
   dst-address=x.x.x.x in-interface=ether1-gateway dst-port=1723

3 X chain=dstnat action=dst-nat to-addresses=192.168.234.254 to-ports=443 protocol=
   dst-address=x.x.x.x dst-port=443

4   ;;; ILO
   chain=dstnat action=dst-nat to-addresses=192.168.234.10 to-ports=443 protocol=t
   dst-address=x.x.x.x in-interface=ether1-gateway dst-port=443

5   chain=dstnat action=dst-nat to-addresses=192.168.234.10 to-ports=17988-17990
   protocol=tcp dst-address=x.x.x.x in-interface=ether1-gateway
   dst-port=17988-17990

Брандмауэр:
0   ;;; Drops invalid connections on input and forward chains
   chain=input action=drop connection-state=invalid

1   chain=forward action=drop connection-state=invalid

2   ;;; Access to router from LAN - administration
   chain=input action=accept src-address-list=LAN

3   chain=input action=accept connection-state=related

4   chain=input action=accept connection-state=established

5   chain=input action=accept protocol=icmp

6   chain=input action=drop

7   ;;; LAN2WAN rules
   chain=forward action=accept connection-state=established

8   chain=forward action=accept connection-state=related

9   ;;; HTTP
   chain=forward action=accept protocol=tcp dst-port=80

10   ;;; HTTPS
   chain=forward action=accept protocol=tcp dst-port=443

11   ;;; POP3
   chain=forward action=accept protocol=tcp dst-port=110

12   ;;; SMTP
   chain=forward action=accept protocol=tcp dst-port=25

13   ;;; DNS
   chain=forward action=accept protocol=udp dst-port=53

14   ;;; NTP
   chain=forward action=accept protocol=udp dst-port=123

15   ;;; PING
   chain=forward action=accept protocol=icmp

16   ;;; RDP
   chain=forward action=accept protocol=tcp dst-port=3389

17   ;;; VPN
   chain=forward action=accept protocol=tcp dst-port=1723

18   ;;; Bloom
   chain=forward action=accept protocol=tcp dst-port=8194-8294

19   chain=forward action=accept protocol=udp dst-port=48129-48137

20   ;;; ILO
   chain=forward action=accept protocol=tcp dst-port=17988-17990

21   ;;; Hosting
   chain=forward action=accept protocol=tcp dst-port=2083

22   chain=forward action=drop
07.01.2014 16:34:00, Windmage.]]> http://mikrotik.moscow/forum/forum57/60185-dst_nat-i-pravila-brandmauera/message229133 http://mikrotik.moscow/forum/forum57/60185-dst_nat-i-pravila-brandmauera/message229133 Tue, 07 Jan 2014 16:34:00 -0500 RouterOS